Authentification SAML

L'authentification SAML ajoute une couche supplémentaire de sécurité au processus de réinitialisation de mot de passe et de déverrouillage de compte. Lorsqu'elle est activée, les utilisateurs sont redirigés vers leur fournisseur d'identité SAML (IdP) — tel que Okta, OneLogin ou AD FS — pour s'authentifier. Après une authentification réussie auprès de l'IdP, les utilisateurs sont renvoyés vers le portail ADSelfService Plus pour terminer leur opération en libre-service. L'authentification SAML ne nécessite pas que les utilisateurs finaux s'inscrivent auprès de ADSelfService Plus.

Comment ça fonctionne

La configuration doit être effectuée à deux endroits :

1. Chez le fournisseur de services (SP) — ADSelfService Plus. Vous configurez la connexion IdP et récupérez les détails SP (URL ACS, URL Émetteur SP, Métadonnées SP) dont l'IdP aura besoin.
2. Chez le fournisseur d'identité (IdP) — Votre application SAML (Okta, OneLogin, AD FS, etc.). Vous enregistrez ADSelfService Plus en tant qu'application SAML et récupérez les métadonnées IdP dont ADSelfService Plus aura besoin.

IdP pris en charge : Okta, OneLogin, AD FS, Line Works, Microsoft Entra ID, 1Kosmos et RSA Cloud. Pour d'autres IdP, contactez l'équipe de support de l'IdP pour obtenir de l'aide.

Prérequis

• Connectez-vous à la console web ADSelfService Plus en tant qu'administrateur. Naviguez vers Configuration > Self-Service > Multi-factor Authentication > Authenticators Setup > SAML authentication. Cliquez sur ACS URL/ Recepient URL et sur le Relay State.
• Le fournisseur d'identité basé sur SAML que vous souhaitez utiliser doit avoir ADSelfService Plus comme l'une de ses applications prises en charge par SAML. S'il n'est pas pris en charge par défaut, vous pouvez ajouter ADSelfService Plus en tant que nouvelle application dans votre fournisseur d'identité. Retrouvez les étapes pour ajouter une nouvelle application ici : Okta, OneLogin, AD FS, Line Works, Microsoft Entra ID, 1Kosmos et RSA Cloud. Pour d'autres fournisseurs d'identité, contactez l'équipe de support du fournisseur d'identité pour obtenir de l'aide supplémentaire.
• Connectez-vous à la console web de votre application fournisseur d'identité avec des identifiants administrateur et accédez à ADSelfService Plus dans la liste des applications proposées.
• Téléchargez soit les Métadonnées au format XML, soit obtenez les données requises en copiant l'URL Émetteur/ID d'entité, URL de connexion IdP et le certificat X509.

Étapes de configuration

Étape 1 : Configuration du fournisseur de services (ADSelfService Plus)

1. Connectez-vous à la console web ADSelfService Plus avec des identifiants administrateur.
2. Naviguez vers Configuration > Self-Service > Multi-factor Authentication > Authenticators Setup.
3. Cliquez sur Authentification SAML. Cliquez sur Modifier, si vous avez déjà configuré l'authentification SAML auparavant.

1. Configurez le fournisseur d'identité (IdP) : cliquez sur le menu déroulant Sélectionner IdP et choisissez un IdP.
2. There are two Modes de configuration SAML : Télécharger le fichier de métadonnées and Configuration manuelle.
   1. Select Télécharger les métadonnéesFile to manually upload the IdP metadata file downloaded from the identity provider (refer to étape 4 of the Prerequisite steps).
      1. Cliquez sur Browse pour télécharger le fichier de métadonnées IdP.
   2. Select Configuration manuelle to manually configure the URLs and certificates.
      1. Saisissez l'URL Émetteur/ID d'entité obtenue auprès du fournisseur d'identité dans le champ correspondant. (voir étape 4 des étapes préalables).
      2. Dans l'URL de connexion IdP, saisissez l'URL de connexion obtenue auprès du fournisseur d'identité (voir étape 4 des étapes préalables).
      3. Dans l'espace prévu pour le Certificat X.509, saisissez la clé du certificat public récupérée auprès du fournisseur d'identité (voir étape 4 des étapes préalables).

1. Copiez les valeurs URL ACS/URL destinataire et URL Émetteur SP sous Détails du fournisseur de services (SP). Vous en aurez besoin à une étape ultérieure.

• Par défaut, ADSelfService Plus utilise la même configuration d'authentification SAML pour l'authentification multi-facteurs lors du libre-service de mot de passe et la connexion unique (SSO) lors de la connexion. Cela signifie que les configurations MFA SAML seront automatiquement reflétées dans les paramètres de connexion SSO, si ce dernier est activé.
• Lorsque vous cochez la case Créer un nouveau SAML SSO, vous pouvez maintenir une configuration SAML distincte pour l'authentification multi-facteurs en générant une nouvelle URL ACS/URL destinataire et un fichier de métadonnées SP. Utilisez la nouvelle URL ACS/URL destinataire ou le fichier de métadonnées SP pour créer une nouvelle configuration SAML pour ADSelfService Plus dans votre fournisseur d'identité.
• Cliquez sur Enregistrer, et la nouvelle URL ACS/URL destinataire sera générée.
• Copy the Relay State value.
  1. Si vous souhaitez utiliser un IdP SAML personnalisé, sélectionnez SAML personnalisé dans le menu déroulant Sélectionner IdP et saisissez le nom de l'IdP dans le champ Nom IdP.

1. Cliquez sur Advanced Settings pour configurer la requête et la réponse SAML qui seront traitées.

1. Sélectionnez si la requête SAML envoyée à l'IdP est signée ou non signée dans le menu déroulant Requête SAML.
2. Cliquez sur le menu déroulant Contexte d'authentification et sélectionnez la classe de contexte d'authentification envoyée dans la requête SAML.
3. Si votre IdP dispose du paramètre pour contourner l'authentification du premier facteur, vous pouvez choisir d'Inclure ou d'Exclure le Sujet SAML. Ce paramètre détermine si le nom d'utilisateur actuellement authentifié est inclus dans la requête SAML, permettant ainsi à l'IdP SAML de passer l'authentification du premier facteur.

1. Si vous choisissez Inclus, les utilisateurs peuvent passer l'authentification primaire lors de la MFA. Cliquez sur le bouton Modifier [] à côté de Format et choisissez un modèle de sujet SAML approprié. Cliquez sur Enregistrer.

1. Si Exclu, les utilisateurs doivent compléter l'authentification primaire auprès de l'IdP avant de poursuivre la MFA.

1. Sélectionnez le Réponse SAML et la Signature d'assertion dans les menus déroulants respectifs, pour déterminer si les messages reçus de l'IdP sont signés ou non.

1. Sélectionnez l'algorithme de signature que l'IdP utilise pour signer la réponse SAML et l'assertion dans le menu déroulant Algorithme de signature.
2. Sélectionnez si l'assertion SAML est chiffrée ou non chiffrée dans le menu déroulant Chiffrement d'assertion.

1. Si l'assertion SAML est chiffrée, sélectionnez si le Certificat de chiffrement est Auto-signé ou Signé par une CA parmi les options proposées.
2. Si le certificat de chiffrement est Signé par une CA, téléchargez la Clé publique CA et la Clé privée CA fournies par l'autorité de certification.

1. Si le certificat de chiffrement est Auto-signé, vous pouvez télécharger le certificat auto-signé en cliquant sur Télécharger le certificat auto-signé. Vous en aurez besoin pour configurer l'authentification SAML dans l'IdP.

1. Cliquez sur Enregistrer.
2. Un résumé de la configuration SP s'affichera une fois la configuration enregistrée. Cliquez sur Télécharger les métadonnées SP pour télécharger le fichier de métadonnées et enregistrez-le à un emplacement. Nous en aurons besoin à une étape ultérieure.

1. Pour régénérer les certificats SAML de signature et de chiffrement auto-signés, cliquez sur le bouton Regenerate correspondant aux champs Signing Certificate et Encryption Certificate. Par défaut, les certificats expirent après une période d’un an.

Étape 2 : Configuration d’une application SAML dans l’Identity Provider

Dans cette section, nous avons couvert les étapes de configuration pour

• Okta
• OneLogin
• AD FS
• Line Works
• Microsoft Entra ID
• 1Kosmos
• RSA Cloud

A. Étapes pour configurer une application SAML dans Okta

1. Connectez-vous à la console web Okta avec des identifiants administrateur. Assurez-vous d’être connecté au portail administrateur.
2. Naviguez vers la liste déroulante Classic UI.
3. Allez à l’onglet Applications > raccourci Add applications > bouton Create New App.
4. Dans la boîte de dialogue qui s’ouvre, sélectionnez l’option SAML 2.0, puis cliquez sur Create.
5. Dans General Settings, saisissez le nom de l’application SAML (exemple : SelfService MFA) dans le champ App name. Téléchargez un logo pour l’application si nécessaire, puis cliquez sur Next.

1. Dans Configure SAML, saisissez l’ACS URL/Recipient URL dans les champs Single sign on URL et Audience URI (SP Entity ID).

• ACS URL/Recipient URL : Connectez-vous à la console web ADSelfService Plus avec des identifiants administrateur. Naviguez vers l’onglet Configuration > Multi-factor Authentication > SAML authentication > ACS URL/Recipient URL. Copiez l’ACS URL/Recipient URL.
• Si votre fournisseur d’identité a besoin des métadonnées du fournisseur de service, cliquez sur Download SP Metadata et téléchargez un fichier XML de vos configurations SAML.

1. Cliquez sur Next.
2. Dans Feedback, sélectionnez une réponse appropriée puis cliquez sur Finish.
3. L’onglet Sign on de la nouvelle application apparaît. Téléchargez le fichier de métadonnées en cliquant sur le lien Identity Provider metadata. Vous aurez besoin de ce fichier lors de la configuration de SAML authentication dans ADSelfService Plus. Sauvegardez donc ce fichier et conservez-le en lieu sûr. Renommez le fichier de métadonnées téléchargé en « metadata_okta.xml ».

1. Cliquez sur l’onglet Assignments et naviguez vers Assign. Sélectionnez Assign to People ou Assign to Groups selon vos besoins. Après avoir sélectionné une option, cliquez sur le bouton Save and Go Back.
2. Cliquez sur Done.

B. Configuration d’une application SAML dans OneLogin :

1. Connectez-vous à la console web OneLogin avec des identifiants administrateur.
2. Cliquez sur le bouton Administration.
3. Naviguez vers Apps tab > Add Apps.
4. Trouvez SAML dans la section Find Applications. Sélectionnez SAML Test Connector (IdP) dans les résultats de recherche.

1. Mettez à jour le Display Name et le logo de l’application. Cliquez sur SAVE.
2. Sous l’onglet Configuration, saisissez l’ACS URL/Recipient URL dans les champs ACS (Consumer) URL Validator, ACS (Consumer) URL, Recipient et Audience.
3. Remarque :
   • ACS URL/Recipient URL : Connectez-vous à la console web ADSelfService Plus avec des identifiants administrateur. Naviguez vers Configuration tab > Multi-factor Authentication > SAML authentication > ACS URL/Recipient URL. Copiez l’ACS URL/Recipient URL.
   • Si votre fournisseur d’identité a besoin des métadonnées du fournisseur de service, cliquez sur Download SP Metadata et téléchargez un fichier XML de vos configurations SAML.
4. Cliquez sur l’onglet Users et assignez l’application aux utilisateurs ou groupes selon vos besoins.
5. Dans le bouton MORE ACTIONS du panneau supérieur, sélectionnez SAML Metadata pour télécharger le fichier de métadonnées. Vous aurez besoin de ce fichier lors de la configuration de SAML authentication dans ADSelfService Plus. Sauvegardez donc ce fichier et conservez-le en lieu sûr.

1. Cliquez sur SAVE.

C. Configuration d’une application SAML dans AD FS :

Prérequis :

Pour configurer AD FS pour la vérification d’identité dans ADSelfService Plus, vous avez besoin des composants suivants :

1. Le serveur AD FS. Les étapes détaillées pour l’installation et la configuration d’AD FS se trouvent dans cet Microsoft article.
2. Un certificat SSL pour signer votre page de connexion AD FS ainsi que l’empreinte de ce certificat.

Étapes de configuration

Règles de revendication et confiance de la partie de confiance

Pendant la configuration, vous devrez ajouter un Relying Party Trust et créer des règles de revendications.

Un Relying Party Trust est créé pour établir la connexion entre deux applications à des fins d’authentification en vérifiant les revendications. Dans ce cas, AD FS fera confiance à la relying party (ADSelfService Plus) et authentifiera les utilisateurs en fonction des revendications générées.

Les revendications sont générées à partir des règles de revendications en appliquant certaines conditions. Une revendication est un attribut utilisé pour identifier une entité, afin d’établir l’accès. Par exemple, le sAMAccountName d’Active Directory.

Étape 1 : Ajouter un Relying Party Trust

• The connection between AD FS and ADSelfService Plus is created using a Confiance de partie de confiance (RPT). Select the Relying Party Trusts folder from AD FS.

  

• Dans la barre latérale Actions, sélectionnez Add Relying Party Trust. L'Add Relying Party Trust Wizard s'ouvre.

• 

• Cliquez sur Démarrer.
• Sur la page Select Data Source, cliquez sur l'option Enter Data About the Party Manually puis cliquez sur Next.

• 

• Sur l'écran Specify Display Name , saisissez un nom d'affichage de votre choix, ainsi que des notes supplémentaires si nécessaire. Cliquez sur Next.

• Sur l'écran Choose Profile, cliquez sur le bouton ADFS FS profile. Cliquez sur Next.

• Sur l'écran Configure Certificate, les paramètres par défaut ont déjà été appliqués. Cliquez sur Next.

• Sur l'écran Configure URL, cochez la case intitulée Enable Support for the SAML 2.0 WebSSO protocol. L'Relying party SAML 2.0 SSO service URL sera l'ACS URL de votre serveur ADSSP. Notez qu'il n'y a pas de barre oblique finale à la fin de l'URL. Par exemple :

https://selfservice.com/samlLogin/fdc0aa2a6d1801c525635ee0a71eb34196906b0f

• Sur l'écran suivant, dans l'option Relying party trust identifiers, ajoutez SP Issuer URL (Ex : https://selfservice.com/samlLogin/fdc0aa2a6d1801c525635ee0a71eb34196906b0f)

• Sur l'écran suivant, vous pouvez choisir de configurer les paramètres d'authentification multi-facteurs pour le relying party trust. Cliquez sur Next.
• Sur l'écran Choose Issuance Authorization Rules, vous pouvez choisir soit Permit all users to access this relying party, soit Deny all users to access this relying party. Cliquez sur Next.
• Les deux écrans suivants afficheront un aperçu des paramètres que vous avez configurés. Sur l'écran Finish, cliquez sur Close pour quitter l'assistant. Si vous avez sélectionné l'option Open the Edit Claim Rules dialog for this relying party trust when the wizard closes, l'éditeur de règles de revendications s'ouvrira automatiquement.

Étape 2 : Création des règles de revendications

Une fois que vous avez configuré le Relying Party Trust, vous pouvez créer les règles de revendications en utilisant l'Claim Rules Editor qui s'ouvre par défaut à la fin de la création du trust.

• Pour créer une nouvelle règle, cliquez sur Add Rule.

• Dans la liste des modèles de règles de revendications disponibles, sélectionnez Send LDAP Attributes as Claims. Cliquez sur Next.

• Sur la page suivante, fournissez un Claim rule name et sélectionnez Active Directory comme magasin d'attributs.
• Dans la colonne LDAP Attribute, sélectionnez SAMAccountName.
• Dans la colonne Outgoing Claim Type, sélectionnez Name ID.
• Cliquez sur Finish pour enregistrer la règle.

• cliquez sur Finish, vous pouvez voir la règle qui a été créée.

• 

Après avoir terminé la configuration AD FS, téléchargez le fichier de métadonnées en cliquant sur le Identity Provider metadata link. Par exemple : https://server_name/FederationMetadata/2007-06/FederationMetadata.xml.

Vous aurez besoin de ce fichier lors de la configuration de l'authentification SAML dans ADSelfService Plus. Donc, sauvegardez ce fichier et conservez-le en lieu sûr.

Étape 3 : Activation de l'option de déconnexion SAML

• Naviguez vers les Confiances de parties faisant confiance et trouvez la règle que vous avez créée.
• Cliquez avec le bouton droit sur la règle sélectionnée et cliquez sur Properties.
• Dans la fenêtre qui s'ouvre, trouvez l'onglet Endpoints et cliquez sur le bouton Add SAML.

• Dans le Trusted URL, collez le SP Logout URL copié depuis step 1 des prérequis.
• Dans l'onglet Signature, téléchargez le certificat X.509 au format PEM depuis step 4 des prérequis.
• Cliquez sur OK.

SSO initié par IdP pour ADSelfService Plus

Suivez ces étapes pour authentifier votre compte ADSelfService Plus via AD FS.

Prérequis

Activez RelayState dans AD FS.

• Pour Windows Server 2012 :
  • Naviguez vers le fichier %systemroot%\ADFS\Microsoft.IdentityServer.Servicehost.exe.config sur votre serveur AD FS.
  • Dans la section <microsoft.identityServer.web>, saisissez le code suivant : <useRelayStateForIdpInitiatedSignOn enabled="true" />
  • Exemple de code :
  • <microsoft.identityServer.web>…..<useRelayStateForIdpInitiatedSignOn enabled="true" /></microsoft.identityServer.web>
  • Redémarrez le serveur AD FS.
• Pour Windows Server 2016 :
  • Ouvrez Powershell avec les propriétés administratives sur votre serveur AD FS.
  • Exécutez la commande suivante pour activer le SSO initié par IdP : Set-ADFSProperties -EnableIdPInitiatedSignonPage $true
  • Exécutez le code suivant pour activer RelayState : Set-ADFSProperties -EnableRelayStateForIDPInitiatedSignon $true
  • Redémarrez le serveur ADFS.

Étapes pour générer une URL IdP :

• Connectez-vous à la console web ADSelfService Plus avec des identifiants administrateur.
• Naviguez vers Onglet Admin > Paramètres SSO.
• Dans la section Détails du fournisseur de services de Authentification SAML, copiez le Relay State et l’URL de l’émetteur SP.
• Ouvrez un traitement de texte et saisissez la commande suivante :<IdP_URL_String>RelayState=RPID=<SP_Issuer_URL>&RelayState=<Relay State>
• Note : À la place de IdP URL String, saisissez https://<ADFSserver>/adfs/ls/idpinitiatedsignon.aspx, où ADFSserver est le serveur sur lequel ADFS est déployé.
• Donnez un nom au document Word, puis enregistrez-le. Encodez l’URL enregistrée.
• Exemple de code :
• Une fois le code encodé, il ressemblera à l’URL ci-dessous :
• https://example.com/adfs/ls/idpinitiatedsignon.aspx?RelayState=RPID%3Dhttps%253A%252F%252Fselfservice-0001%253A9267%252FsamlLogin%252F88d9537b8c5f7376fc78fdfb7591601e85aa8ebb%26RelayState%3DaHR0cHM6Ly9raXJ1YmhhLTUyNTg6OTI2Ny9zYW1sTG9naW4vTG9naW5BdXRo

D. Étapes pour configurer une application SAML dans Line Works

1. Connectez-vous à la console développeur Line Works. Allez dans la section Apps > SAML Apps puis cliquez sur le bouton ajouter à.

1. Dans la fenêtre qui s’ouvre, renseignez un Nom de l’application, Description appropriés, ainsi qu’un Logo dans les champs respectifs.
2. Dans le champ URL ACS et dans l’URL de l’émetteur/ID d’entité, saisissez l’URL ACS/URL du destinataire d’ADSelfService Plus.
3. Note : URL ACS/URL du destinataire : Connectez-vous à la console web ADSelfService Plus avec des identifiants administrateur. Naviguez vers Onglet Configuration > Authentification multi-facteurs > Authentification SAML > URL ACS/URL du destinataire. Copiez l’URL ACS/URL du destinataire.

4. 

5. Dans la fenêtre contextuelle qui s’ouvre, cliquez sur OK.
6. Allez dans la section SAML Apps et trouvez l’application que vous venez de créer. Cliquez sur le bouton Modifier et changez le statut en 'Effectivité'. Cliquez sur Enregistrer.

E. Étapes pour configurer une application SAML dans Microsoft Entra ID

1. Connectez-vous à Microsoft Entra ID avec des identifiants d’administrateur global.
2. Allez dans Azure Azure Active Directory > Applications d’entreprise > Toutes les applications.
3. Sélectionnez Nouvelle application.

4. 

5. Cliquez sur Créer votre propre application.

6. 

7. Dans la fenêtre contextuelle qui apparaît, saisissez un nom pour ADSelfService Plus. Sélectionnez le bouton radio Intégrer toute autre application que vous ne trouvez pas dans la galerie, puis cliquez sur Créer.

8. 

9. Sur la page suivante, sélectionnez Configurer la connexion unique.

10. 

11. Select SAML, and click Modifier under Configuration SAML de base. Fill in the following details copied in Étape 4 des prérequis:
    • Identifiant : URL de l’émetteur SP
    • URL de réponse : URL ACS/URL du destinataire
    • Relay State : Relay State
    • URL de connexion : URL d’accès d’ADSelfService Plus

12. 

13. Navigate to Certificat de signature SAML, and click Ajouter un certificat. Here you can create a new SAML signing certificate, upload a self-signed certificate that you’ve generated, or upload a certificate obtained from a CA.
    • Pour importer un certificat : Cliquez sur Importer un certificat.
    • Téléversez le certificat et saisissez le mot de passe PFX.

• Pour ajouter un nouveau certificat : Cliquez sur Nouveau certificat puis sur Enregistrer.

• Cliquez sur l’icône dans l’entrée du certificat, puis sélectionnez Rendre le certificat actif.

1. Après avoir fermé l’écran, téléchargez le fichier de métadonnées en cliquant sur le bouton Télécharger à côté de Federation Metadata XML.

1. Après avoir terminé les étapes de configuration d’ADSelfService Plus (SP), testez la fonctionnalité de connexion unique en cliquant sur Tester.

F. Étapes pour configurer une application SAML dans 1Kosmos

Prérequis

Tout d’abord, vous devez configurer 1Kosmos en tant qu’IdP en suivant les étapes suivantes :

1. Connectez-vous au portail 1Kosmos AdminX avec des identifiants administrateur.
2. Naviguez vers Paramètres > Configuration IdP.
3. Cliquez sur Create Identity Provider pour ajouter un nouvel IdP.
4. Under the Configuration principale section, enter the following details:
   1. Authentication Request : choisissez Signed pour garantir des requêtes d’authentification SAML sécurisées.
5. Depuis la section SAML Metadata, téléchargez le fichier de métadonnées SAML à utiliser ultérieurement dans ADSelfService Plus.
6. Cliquez sur Enregistrer.

Étapes de configuration de l’IdP

1. Connectez-vous au 1Kosmos AdminX portal avec les identifiants administrateur.
2. Naviguez vers Applications > Manage Applications, puis cliquez sur Add an Application.
3. Trouvez SAML 2.0 Generic sous Custom App, puis cliquez sur Add Integration pour commencer la configuration de l’application SAML.
4. Examinez les informations affichées décrivant les accès et privilèges requis pour continuer, puis cliquez sur Add Application.
5. Under the Basic Paramètres section:
   1. Saisissez un Application Name approprié (par exemple, ADSelfService Plus).
   2. Choisissez le Instance Type souhaité (Production ou Sandbox).
   3. Saisissez l’Access URL pour ADSelfService Plus au format suivant : https://<FQDN_FOR_ADSSP>/
   4. Par exemple : https://adselfservice.com/
6. Les configurations SAML peuvent être effectuées soit en téléchargeant le fichier de métadonnées, soit en saisissant manuellement les valeurs requises.
7. (a) Dans la section SAML Settings, vous pouvez télécharger le fichier de métadonnées téléchargé depuis ADSelfService Plus. Cela remplira automatiquement la Assertion Statement sous les paramètres SAML, ainsi que l’Entity ID et l’ACS URL sous Options avancées.
8. (b) Alternatively, you can manually configure the following:
   • Assertion Statement under SAML settings
     • Format : urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
     • Value : email (situé sous BlockID Session Attributes)
   • Options avancées
     • Entity ID : saisissez l’URL SP Issuer obtenue depuis ADSelfService Plus.
     • Assertion Consumer Service (ACS) URL : saisissez l’ACS URL obtenu depuis ADSelfService Plus et définissez la Method sur POST.
9. Dans la section Advanced Options, rendez-vous dans la section Certificates pour télécharger le PEM-encoded X.509 certificate téléchargé depuis ADSelfService Plus et activez la case à cocher Assertion pour garantir que l’assertion SAML est signée.
10. Cliquez sur Enregistrer.

G. Étapes pour configurer une application SAML dans RSA Cloud

Configurez RSA Cloud en tant qu’IdP SAML pour ADSelfService Plus en suivant les étapes suivantes :

1. Connectez-vous au portail RSA Cloud avec les identifiants administrateur.
2. Naviguez vers Authentication Clients > My Relying Parties. Cliquez sur Add a Relying Party.

3. 

4. Sous Relying Party Catalog, cliquez sur Add à côté de Service Provider SAML.

5. 

6. Under Ajouter un fournisseur de service, enter the following details:
   • Informations de base :

   • 

   • Authentication:
     • Sous Authentication Details, choisissez Service provider manages primary authentication, and RSA manages additional authentication si vous avez choisi d’inclure le SAML Subject dans step 9 of the SP configuration.
     • Note: Choosing to include the SAML Subject in the SAML request enables RSA Cloud to bypass first-factor authentication. This will allow users to skip primary authentication during MFA.
       • Cliquez sur le menu déroulant 1.0 Access Policy for Additional Authentication, et sélectionnez la politique définissant comment RSA doit gérer l’authentification secondaire pour les utilisateurs dont l’authentification primaire est gérée par ADSelfService Plus.

     • 

     • If you have chosen to exclude the SAML Subject in étape 9 de la configuration SP, choose RSA manages all authentication.
       • Cliquez sur le menu déroulant 2.0 Access Policy for Authentication, et sélectionnez la politique définissant comment RSA doit gérer à la fois l’authentification primaire et secondaire pour les utilisateurs.
     • Cliquez sur Next Step.

     • 

   • Profil de connexion :
   • Under Méthode de saisie des données, click Import Metadata if you have downloaded the metadata file from ADSelfService Plus, or click Enter Manually to enter the details manually.
     • Import Metadata:
       • Cliquez sur Choose File et importez le fichier SP Metadata enregistré depuis ADSelfService Plus dans step 7 of SP configuration.

     • 

       • Service Provider Entity ID : saisissez la valeur ACS URL/Recipient URL copiée during the SP configuration.
       • Audience for SAML Response : choisissez Default : Service Provider Entity ID.
       • Message Protection : sous SAML Response Protection, choisissez IdP signs assertion within response.
     • Enter Manually:
       • Assertion Consumer Service (ACS) URL : collez la valeur ACS URL/Recipient URL copiée during SP configuration et cliquez sur l’icône +.
       • ID d'entité du fournisseur de services : collez la valeur de l'URL de l'émetteur SP copiée depuis Détails du fournisseur de services (SP) d'ADSelfService Plus.
       • Audience for SAML Response : choisissez Default : Service Provider Entity ID.
       • Message Protection : sous SAML Response Protection, choisissez IdP signs assertion within response.

     • 

7. Cliquez sur Enregistrer et Terminer. Une fois terminé, cliquez sur Publier les modifications.

Une fois enregistré, vous pouvez consulter la configuration sous Mes Parties de confiance. Cliquez sur le bouton déroulant à côté de Modifier et sélectionnez Métadonnées.

Les métadonnées s'afficheront dans une fenêtre contextuelle. Cliquez sur Télécharger le fichier de métadonnées pour le télécharger. Cela sera utilisé lors de la configuration d'ADSelfService Plus.

Conseils

• L'authentification SAML ne nécessite pas d'enregistrement utilisateur, ce qui en fait l'option MFA la moins contraignante pour les organisations disposant déjà d'un IdP SAML. Si vos utilisateurs s'authentifient déjà via Okta ou AD FS pour d'autres applications, activer l'authentification SAML réutilise cet investissement sans nécessiter que les utilisateurs enregistrent une nouvelle méthode.
• Lors de l'utilisation de la configuration manuelle, assurez-vous que le certificat X.509 inclut les délimiteurs -----BEGIN CERTIFICATE----- et -----END CERTIFICATE-----. L'absence de ces délimiteurs est l'une des causes les plus courantes d'échec de l'authentification SAML lors de la configuration initiale.
• Si vous avez besoin de configurations SAML distinctes pour MFA et SSO (par exemple, pour utiliser différents IdP ou différentes URL ACS), activez Créer un nouveau SAML SSO lors de la configuration du SP plutôt que de modifier la configuration partagée — la modification affectera à la fois MFA et SSO simultanément.
• Utilisez le bouton Régénérer pour renouveler de manière proactive les certificats de signature et de chiffrement avant leur expiration — les certificats sont valides un an par défaut. Les certificats expirés interrompront silencieusement l'authentification SAML pour tous les utilisateurs jusqu'à leur remplacement.